CVE-2026-115804
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
HashiCorp Consul i Consul Enterprise są podatne na obejście autoryzacji przy rejestracji kontroli stanu, co może pozwolić uwierzytelnionemu użytkownikowi na modyfikację kontroli stanu należących do innej usługi na tym samym węźle. Podatność została naprawiona w Consul Community Edition 2.1.0 oraz Consul Enterprise 2.1.0 i 1.21.19.
Ocena ryzyka
Uwierzytelniony użytkownik może modyfikować kontrole stanu innych usług, co może prowadzić do fałszywych alarmów lub ukrycia awarii. Ryzyko dotyczy integralności monitoringu w klastrze Consul.
Rekomendacja
Zaktualizuj Consul Community Edition do wersji 2.1.0 lub Consul Enterprise do 2.1.0/1.21.19. Przeglądaj uprawnienia użytkowników do rejestracji kontroli stanu.
Inne podatności w HashiCorp Consul
Zobacz wszystkie- CVE-2026-105765Wysokie
HashiCorp Consul i Consul Enterprise w wersjach od 1.17.0 do 2.0.4 są podatne na obejście autoryzacji w API certyfikatów liści service mesh agenta. Atakujący bez ważnego tokenu ACL może pobrać buforowany certyfikat liścia usługi wraz z kluczem prywatnym.
- CVE-2026-105626Wysokie
HashiCorp Consul i Consul Enterprise są podatne na atak typu denial of service w API HTTP. Nieuwierzytelniony atakujący może wyczerpać pamięć agenta Consul.
- CVE-2026-105608Wysokie
HashiCorp Consul i Consul Enterprise są podatne na obejście autoryzacji przy rejestracji proxy service mesh. Użytkownik z uprawnieniem zapisu usługi może zastosować konfigurację Envoy escape-hatch bez wymaganego uprawnienia zapisu mesh.
Oryginalny opis (angielski, źródło NVD)
HashiCorp Consul and Consul Enterprise are vulnerable to an authorization bypass in health check registration that may allow an authenticated user to modify health checks belonging to another service on the same node. This vulnerability (CVE-2026-115804) is fixed in Consul Community Edition 2.1.0 and Consul Enterprise 2.1.0 and 1.21.19.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS